Wie VPN Sperren umgeht: DPI, VLESS und Reality einfach erklärt
Wenn ein Provider eine Website oder einen Dienst sperrt, blockiert er selten eine bestimmte IP-Adresse — häufiger analysiert das System den Traffic selbst und entscheidet: „Das sieht nach VPN aus“ oder „Das sieht nach normalem HTTPS aus“. Diese Analyse nennt man DPI — Deep Packet Inspection.
Wie DPI VPN überhaupt erkennt
DPI kann den verschlüsselten Inhalt des Traffics nicht lesen — in diesem Sinne funktioniert Verschlüsselung immer. Aber DPI hat andere Anhaltspunkte:
- Charakteristische Protokollmerkmale — viele VPN-Protokolle haben eine erkennbare „Handschrift“: spezifische Header-Struktur, Paketlänge, Reihenfolge des Handshakes.
- Verbindungsverhalten — wenn dieselbe IP lange verschlüsselte Sitzungen auf einem untypischen Port hält, ist das statistisch auffällig.
- TLS-Fingerabdruck — selbst gewöhnliches HTTPS hat Parameter, an denen sich ein Browser von einem VPN-Client unterscheiden lässt.
Warum VLESS + Reality eine andere Liga ist
Ältere Protokolle (etwa klassisches OpenVPN) werden in restriktiven Netzen genau wegen ihrer „Handschrift“ gekappt — ihr Handshake sieht nicht wie eine normale Website aus. Reality (ein Aufsatz auf VLESS innerhalb von Xray-core) löst das Problem anders: Die Verbindung wird als TLS-Handshake mit einer echten Website getarnt.
Technisch funktioniert das so: Der Client baut tatsächlich eine TLS-Sitzung zu einem echten „Masken“-Server auf (meist eine große, legitime Website), und erst innerhalb dieser bereits bestehenden Verbindung werden die eigentlichen Daten übertragen. Für ein DPI-System von außen ist das nicht von einer Anfrage an eine gewöhnliche, unauffällige Website zu unterscheiden.
Bedeutet das, eine Sperre ist grundsätzlich unmöglich?
Nein — die Widerstandsfähigkeit von Reality ist nicht absolut, und auch DPI-Methoden entwickeln sich weiter. Genau deshalb betrachten wir das Protokoll nicht als „in für alle Mal gelöstes Problem“: Wir betreiben einen eigenen Prozess zur Sperrüberwachung, der beobachtet, ob irgendwo begonnen wird, bestimmte Konfigurationen zu kappen, und ändert serverseitige Parameter, bevor es für Nutzer spürbar wird.
Was das für Sie in der Praxis bedeutet
Sie müssen sich nicht mit TLS-Handshakes oder Paketstrukturen auskennen — das ist Aufgabe des Protokolls und unserer Serverseite. Von Ihnen wird nur eines gebraucht: die Client-App aktuell zu halten, denn die Tarnparameter werden manchmal zusammen mit der App aktualisiert.